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Introducción 

Deloitte presenta la primera edición de su estudio de Seguridad de la Información - 
Ecuador 2017, en el cual se miden las principales tendencias en cuanto a seguridad de la 
información así como sus retos y obstáculos. 

El estudio realizado por Deloitte tiene como objetivo ser una herramienta de comparación 
que permita a las organizaciones mejorar los aspectos estratégicos, tácticos y operativos 
en cuanto a la gestión de seguridad de la información. 

Participaron más de 50 empresas nacionales y multinacionales de diversas industrias. 
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Detalle de participantes 

Distintos sectores e industrias 



Servicios Financieros 

46% 




Energía y Recursos Renovables 

10% 



Tecnología, Medios y Telecomunicaciones 

4% 
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Región a la que pertenecen las organizaciones 


32% 



68% 



Sierra 


Cantidad de empleados en la organización 


23% 



23% 




Hasta 200 Entre 200 y 500 Entre 500 y 1000 Entre 1000 y 5000 Más de 5000 
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Principales Tendencias 


Casi el 50% de participantes sufrieron alguna 
brecha de seguridad en los últimos 12 meses, y de 
estos, el 20% no pudo determinar el Impacto 
de dicha brecha ya que no cuentan con un 
proceso de gestión de incidentes. 





El componente humano continua siendo una 
pieza crítica en la gestión de seguridad de la 
información, lo cual es confirmado por casi el 50 % 
de los participantes que indicaron que su 
principal iniciativa para el 2018 será la capacitación 
y sensibilización en seguridad de la información. 
La gran mayoría de iniciativas recae en el 
ámbito estratégico y táctico. 



4 



























Seguridad de la Información en Ecuador 2017 


Principales Tendencias 



La falta de suficiente presupuesto continua 
estando entre las principales dificultades, lo 
cual es confirmado por más del 50% de los 
participantes, seguido muy de cerca por 
aspectos como la falta de visibilidad e influencia 
y la falta de personal competente. Así mismo, 
casi el 75% de los participantes no mide el 
retorno de las inversiones en seguridad de 
información. 


$ 



Solo el 20% está preparado para afrontar 
incidentes de seguridad originados en redes 
sociales. 

El 60% de los participantes no disponen 
actualmente de un SOC, pero casi el 20% 
afirma que contará con uno para el 2018 . 
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Principales Tendencias 


Deloitte cuenta con un enfoque basado en buenas prácticas y que cubre los componen¬ 
tes básicos: asegurar, detectar y responder. 



Seguro 


Se enfoca en la protección de la Información 
que soporta los procesos claves del negocio, 
¡mplementando procesos y controles que 
responden a la realidad y circunstancias del 
mismo. 



Vigilante 


Reconoce la necesidad de establecer una cultura 
proactlva de estar atentos a las amenazas a fin 
de desarrollar una capacidad de detectar 
patrones de comportamiento que puedan 
Indicar o predecir un ataque a la Información 
crítica. 



Resiliente 


Significa tener la capacidad de controlar rápidamente 
un ataque y movilizar los recursos necesarios 
para manejar el Impacto, Incluyendo costos 
directos y dlsrupclón del negocio, así como 
también daños a la reputación y marca. 
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Responsable de seguridad de la información y nivel de reporte 


¿Cuenta su organización con un responsable de seguridad de la información (CISO - Chlef Information Securlty 
Officer) o similar? 


79 % 



21 % 



En Ecuador, la función de seguridad de la información se encuentra consolidada dado que 8 de cada 1 0 
participantes cuenta con un CISO formal. 


¿A quién reporta el CISO? 


Vicepresidente / Director / 
Gerente de Riesgos (CRO) 


28 % 


Presidente Ejecutivo / 
CEO 


®®@®©© 


15% 


Vicepresidente / Director / 
Gerente de Tecnología 
(CTO) 



flXQ 





13 % 


Otros 



12% 


Comité de Seguridad 


/oo \ / oo \ / oo\ 

(ñ)(g)(M) 


6 % 


Vicepresidente / Director / 
Gerente Financiero (CFO) 


Junta Directiva 



El nivel de reporte dependerá del tamaño y 
estructura de las organizaciones. El CISO 

reporta fuera del área de TI para más de la 

mitad de los participantes, lo cual se alinea 
con las buenas prácticas a nivel mundial. 
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Responsabilidades del CISO 


¿Qué áreas y/o funciones de seguridad de la información (SI) se encuentran bajo responsabilidad del CISO? 


Gobierno de SI (políticas, normas, estándares) 



Monitoreo de SI (Indicadores, métricas y reportes) 

(£)(£)(£)(£)(£)(£)(£)(£)(£)(£)(£) 72% 

Cumplimiento y control de SI 



Concientización y capacitación en SI 



M) W m) w) m) W W W) 


68 % 


Administración de usuarios y accesos 



Administración del riesgo de TI / SI 




60 % 


Respuesta ante incidentes de SI 

58 % 


Estrategia, planificación y presupuesto de SI 



Monitoreo de eventos de SI, marcas y riesgos externos (ciber-inteligencia) 




51 % 


El CISO gestiona áreas o funciones consistentes con las buenas prácticas, entre las más destacadas tenemos: 

Gobierno de SI, Monitoreo de SI y Cumplimiento de SI, Sensibilización, Respuesta ante 

Incidentes; lo cual es corroborado por las tres Cuartas partes de los encuestados. Existen otras 
responsabilidades como: Seguridad de las aplicaciones y datos, Administración de vulnerabilidades, Arquitectura de 
SI, Operaciones de SI, Seguridad de terceras partes y socios de negocio, Plan de recuperación ante desastres, 
Administración de continuidad del negocio, Seguridad física, que también fueron nombradas en el estudio. 

Funciones como Seguridad física y Administración de continuidad de negocio no forman parte de las responsabilidades 
del CISO, a pesar de que estas áreas guardan relación con la seguridad de información a través del atributo "Disponibilidad". 
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Profesionales en seguridad de la información 


¿Cuántos profesionales dedicados a tiempo completo a la seguridad de información (SI) tiene su organización? 

53% 

Más de 50 Mn ln / 

profesionales § ^' 5 

profesionales (o| (g) (o) 13% 

profesionales 6% 

Entre 20 y 50 rw 
profesionales w /u 

Ninguno 

o®oo® 26% 

No existe una cantidad correcta de recursos, dependerá de aspectos como: tamaño de la organización, regulaciones 
de la industria y actividades asignadas al área de SI. La mitad de IOS participantes dispone de hasta 5 

profesionales dedicados a tiempo completo. Aún existen empresas que no cuentan con profesionales 
dedicados a la SI exclusivamente. 

Principales obstáculos 

¿Cuáles son los principales obstáculos que enfrenta para desarrollar la estrategia y programa de seguridad de 
información efectivo? 


Luego de los ataques mundiales e incidentes de seguridad propios, las empresas se han dado cuenta que requieren 
invertir más en capacitar sus recursos, en temas de seguridad de información. 


La mitad de los participantes consideran que no cuentan con los suficientes recursos para su gestión así 
como carecen visiblidad e influencia dentro de la organización. Este aspecto puede responder a situaciones como: 
el enfoque de riesgos aplicado, el nivel de sensibilización de los tomadores de decisión, y factores externos como la 
economía, lo cual generó limitaciones en la inversión de las organizaciones a nivel local. 

55% 



dentro de la 
organización 


34% 



Falta de 
recursos 
capacitados y 
competentes 
en el mercado 


30% 



Falta de claridad 
sobre el ámbito 
de gestión, 
funciones y 
responsabilidades 


28% 



Falta de apoyo 
ejecutivo o del 
negocio 


26% 



Falta de una 
estrategia de 
seguridad de la 
información y 
hoja de ruta de 
implementación 


19 % 



El impacto de las 
nuevas 

tecnologías y/o 
amenazas 


6 % 



Otros 
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Frecuencia de reporte 


¿Con qué frecuencia se reporta sobre la situación de seguridad de la información a las principales autoridades de su 
organización? 

Junta Directiva 



CEO 


Nunca 

Ad-hoc 

Anualmente 

Semestralmente 

Trimestralmente 

Mensualmente 



Alta Dirección y/o Comité Ejecutivo 


Nunca 

Ad-hoc 

Anualmente 

Semestralmente 

Trimestralmente 

Mensualmente 



Más de la mitad de los participantes mantienen un nivel de comunicación proactivo con los altos 
ejecutivos sobre la gestión de la seguridad de la información. Es importante recalcar que se debe contar con un 
mecanismo formal y proactivo, que no sólo transmita brechas de seguridad, sino también cómo evoluciona la 
gestión de seguridad en la organización. 
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Monitoreo de la gestión de seguridad de la información 

Describa su enfoque hacia el monitoreo de la gestión de seguridad de la Información 

36% 





i 

X 

i 

\ 


w 


30% 



19 % 



15 % 



No se cuenta con un 
enfoque de monitoreo de 
seguridad de información. 


Se cuenta con métricas 
de SI que permiten 
comprender mejor el 
proceso así como 
fortalezas y necesidades 


Se cuenta con un esquema 
de medición (métricas 
operacionales) pero se 
mide bajo demanda / 
necesidad. 


Se han establecido 
Indicadores Claves del 
Proceso (KPI)y Indicadores 
Claves de Riesgo (KRI) de 
SI 


Más de Id mitad de participantes realizan algún tipo de monitoreo de aspectos relacionados con seguridad 
de información, lo cual permite interactuar con el negocio y presentar resultados de la gestión realizada. Así mismo, 

aún no existe una comprensión clara de la importancia de este proceso dado que 1 de 3 participantes no 
realizan ningún tipo de monitoreo. 


Presupuesto para la gestión de seguridad de la información 

¿Su organización cuenta con un presupuesto específico aplicado a la gestión de seguridad de la información? 


62% 



Si, la organización cuenta con un No, el presupuesto de SI está 

presupuesto definido para SI bajo otras funciones (ej. TI) 


Contar con un presupuesto propio, 
administrado por el CISO, es un paso 
fundamental para cumplir con 

una gestión efectiva de la función 
de SI y apoyar en el cumplimiento de los 
objetivos del negocio. 
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Evolución del presupuesto 


¿Cuál será la evolución del presupuesto de seguridad de Información en 2018 en comparación con el presupuesto de 
2017? 


Reducción del presupuesto 


Mantenimiento del mismo presupuesto 


Incremento de entre 1% y 5% 


Incremento de entre 6% y 10% 


Incremento mayoral 10% 


No conoce / No responde 



a pesar de la delicada situación a nivel país, la mayoría de participantes han definido mantener 

SU presupuesto de seguridad para el próximo año. Esto podría obedecer a la creciente ola de ataques a nivel 
mundial y la ocurrencia de incidentes internos en las organizaciones. 


Componentes del presupuesto 


¿Qué aspectos, inversiones y gastos están incluidos en su presupuesto? 

62 % 



Contrataciones de servidos y 
terceñzación de fundones de 
gestión de SI 


58 % 



Licencias de software específico 
de SI (ej. DLP, SIEM) 


56 % 



Infraestructura de SI (ej. firewalls, 
appliances, servidores, etc.) 


Los aspectos más importantes que se incluyen en el presupuesto son: la contración de servicios y tercerización de 
funciones de gestión de SI, adquisición de licencias de software e infraestructura tecnológica. 
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Retorno de inversión 


¿Cómo mide su organización el retorno de inversión en seguridad de la información? 

s“é„ir modeia 73% 


Calculando el retorno en 
base a la reducción de 
riesgos 


13 % 


Mediante indicadores de 
disminución de incidentes 
de SI 


Otra 



sólo la cuarta parte de participantes 

mide el retorno de inversión en seguridad de la 
información, a través de diferentes mecanismos. 
El disponer de tableros o indicadores de gestión 
permitá orientar mejor los requisitos y controles 
de seguridad que se deben reforzar, brindando 
visibilidad sobre su efectividad. 


Principales iniciativas 


Cinco principales iniciativas de seguridad de información para el año 2018 


Generación de 
indicadores, 
medición y reporte 
de SI 


Capacitación y 
sensibilización en SI 



Monitoreo de 
amenazas internas 
y externas 


Gobierno, 
estrategia, 
alineación con el 
negocio y hoja de 
ruta de SI 


32 % 



El factor humano sigue siendo un aspecto prioritario dentro de las iniciativas de seguridad de 
información para el 2018. Sin embargo, existen otras áreas que han ganado notoriedad para el siguiente año. Como 
parte de la evolución de seguridad de información, las organizaciones están reconociendo la importancia de 
indicadores que permitan determinar si se está cumpliendo con los objetivos propuestos así como la necesidad de 
mantener un enfoque proactivo frente a ataques a través del monitoreo de amenazas internas y externas. 
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Principal incentivo 


Identifique el principal incentivo que tiene el negocio para emprender iniciativas de seguridad de la información en 
su organización. 

37% 



0 © © 

© © © 

Reducción de riesgos Continuidad de negocio Cumplimiento de 

regulaciones 


17 % 



Mejoramiento de 
procesos de negocio y/o 
productos / servicios 


Si bien existen industrias donde la regulación presiona para invertir en seguridad de información, 3 de cada 4 

participantes consideran que los principales incentivos están asociados con el propio negocio y su necesidad 
de convertir a la seguridad en una herramienta habilitadora de procesos, productos y servicios más seguros, lo cual 
es clave para una buena gestión. 


Nivel de madurez del proceso de administración 


Califique el nivel de madurez de su proceso de administración de usuarios y accesos a recursos de información. 

43% 


38% 




6 % 


8 % 



6 % 



Nivel 0 (no existe) 



Nivel 1 (depende de 
quién lo administre) 



Nivel 2 (está normado 
por una política o 
procedimiento) 



Nivel 3 (se monitorea 
su cumplimiento y se 
establecen mejoras al 
proceso) 


Nivel 4 (se encuentra 
automatizada su gestión 
en una herramienta / 
aplicativo) 


La administración de usuarios y accesos continúa siendo un proceso ejecutado y monitoreado manualmente, por lo 

que es propenso a errores. Implementar procesos automatizados y basados en herramientas constituye un 
aspecto prioritario y un reto en el camino de la madurez de este ámbito de la gestión de seguridad de información. 
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Adopción de tecnologías de seguridad 


¿Cómo describe la adopción de las siguientes tecnologías en su organización? 

En implementación Plan para implementar 

en 2018 


Inteligencia artificial (ej. análisis comportamiento del usuario--UBA) 


Soluciones gestionadas de seguridad (MSSP) 


Soluciones para fuga de información (DLP) 


Soluciones abuso de marca (brand abuse) 


Autenticación multifactor (MFA) 


Servicios en la nube (SaaS, PaaS, laaS) 


Soluciones gestión registros de auditoría (SIEM) 


Solución denegación servicios (anti DoS, anti DDoS) 


Soluciones correo fraudulento (anti phishing) 


Soluciones de detección/prevención de intrusos (IDS/IPS) 



En el 2017 se evidencia un alto grado de conciencia de las amenazas y su gestión a través de la implementación de 
tecnologías principalmente en seguridad perimetral. El reto para el CISO será el implementar tecnologías que 
mitiguen las amenazas emergentes para el 201 8. 
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Procesos y/o tecnologías de monitoreo de riesgos 


¿Qué procesos y/o tecnologías tiene implementados su organización para monitorear y evaluar los riesgos de 
seguridad de la información a los que está expuesta? 

53 % 



Contamos con procesos Contamos con procesos 

operativos que pueden servir específicos y tecnología 

para monitorear riesgos de SI implementada para monitorear 


30 % 



Contamos con revisiones de No contamos con 

terceros que suplen esta procesos ni herramientas 

necesidad 


La mayoría de los participantes reconoce la Importancia de monitorear riesgos de seguridad y actualmente cuenta 

con algún mecanismo para dicho efecto. Al mismo tiempo, UPI tercio de IOS participantes confían en 
revisiones realizadas por terceros pero que no tienen como foco la efectividad de la seguridad de información para 
la organización, lo cual nos permite concluir que existe aún espacio para su mejora. 


Administración y monitoreo de la seguridad de terceros 

¿Cómo administra y monitorea la seguridad de terceros con los cuales su organización hace negocio y/o terceriza 
parte de sus procesos de negocio? 


Las capacidades de seguridad, controles y dependencias de los terceros 
fueron evaluadas al momento de establecer el contrato. 

Se incluyeron como cláusulas específicas de seguridad en el contrato. 


Las capacidades de seguridad, controles y dependencias de los terceros 
fueron evaluadas al momento de establecer el contrato. 

No se cuenta con cláusulas específicas de seguridad. 


Las capacidades de seguridad, controles y dependencias de los terceros no 
han sido evaluadas. 


Las capacidades de seguridad, controles y dependencias de los terceros son 
revisadas / auditadas y aprobadas periódicamente. 

Se incluyeron como cláusulas específicas de seguridad en el contrato. 



36 % 


Los riesgos derivados de la exposición de la información empresarial con terceros han sido sujetos o han sido 
causantes de varios incidentes de seguridad en los últimos años. Casi la mitad de los participantes actualmente 
gestionan este tipo de riesgos, sin embargo aproximadamente 2 de cada 5 empresas aún no priorizan 
este tipo de riesgos como un aspecto clave de su gestión. 
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Centro de Operaciones de Seguridad (SOC) 


¿Cuenta con un Centro de Operaciones de Seguridad (SOC)? 


60 % 



No disponemos de un 
Centro de Operaciones de 
Seguridad 


21 % 



Si, contamos con un 
Centro de Operaciones 
de Seguridad 


No disponemos de un 
Centro de Operaciones de 
Seguridad pero pensamos 
implementar uno durante 
el año 2018 


Contar con un SOC se ha convertido en un imperativo para la gestión de seguridad de la información, dado que reúne 
el personal y herramientas que realmente se necesitan para soportar la seguridad que la actividad del negocio requiere. 

Si bien más de la mitad de los participantes no disponen de un SOC, de cada 5 participantes consideran 
implementarlo para el 2018. 



Capacidades del SOC 


¿Qué capacidades tiene implementadas en el Centro de Operaciones de Seguridad (SOC)? 



Monitoreo y correlación Monitoreo y gestión de Respuesta para incidentes Administración de la Monitoreo del tráfico y 

de eventos de seguridad amenazas de seguridad seguridad datos 

(SIEM) 


Los servicios de SOC implementados en su gran mayoría atacan IOS aspectos básicos del monitoreo 
de seguridad y respuesta a incidentes, existiendo funciones de seguridad de la información por incor¬ 
porar para optimizar y desarrollar dichos servicios. 
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Responsable del Centro de Operaciones de Seguridad 


¿Quién es responsable por su Centro de Operaciones de Seguridad (SOC)? 



12 % 

12 % 

70 % 

O 

O 

6 % 

9 

O 

o 

9 

9 

O 

o 

La propia organización 

Administrado por terceros 
/ externalizado 

Administración compartida 

No usa SOC 


El esquema de administración externalizado sigue siendo atractivo para los participantes al momento 
de implementar un SOC debido al factor económico. 


Frecuencia de evaluaciones de seguridad 

Indique con qué frecuencia realiza los siguientes procesos de evaluación / testeo de seguridad: 

Existe una frecuencia definida a través de la cual se monitorean los riesgos de seguridad de la información para 
vulnerabilidades internas y externas y de aplicaciones web. Sin embargo, aún existe una brecha significiativa con las 

revisiones de código fuente considerando que existe una marcada tendencia sobre la falta de aplicación 
de buenas prácticas de desarrollo seguro tanto por las propias organizaciones como por terceros. 

Escaneo de vulnerabilidades externas 
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Escaneo de vulnerabilidades internas 


Nunca 

Ad-hoc 

Anualmente 

Semestralmente 

Trimestralmente 

Mensualmente 



Pruebas de penetración en aplicaciones web 



Revisión de código fuente 
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Brechas de seguridad interna y/o externa 


¿Su organización ha experimentado una brecha de seguridad interna y/o externa durante el último año? 

54 % 



Principales Brechas Externas 


Principales Brechas Internas 




22 % 


Software malicioso originado 
externamente 


Robo de información causado por 
fallas en accesos de usuarios 



Pérdida o robo de equipos 


15 % 

Robo o pérdida de información. 



Pérdida de equipos por descuido de 
empleados 



Diseminación de software malicioso 
por desconocimento de empleados 



Casi la mitad de los participantes asegura que ha experimentado una brecha de seguridad interna y/o 
externa llevándolos a destinar más recursos, de tipo humano, económico y tecnológico, para la gestión efectiva de la 
seguridad de la información. 

En el ámbito externo, el principal factor de riesgo es generado por el software malicioso, el cual ha sido responsable 
por notorios incidentes a escala mundial como el ransomware WannaCry. 


Mientras que el ámbito interno, fallas o errores en el control interno (específicamente gestión de usuarios y accesos) 
han expuesto información empresarial a robos y/o pérdidas. 
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Impacto de las brechas de seguridad 


¿Cómo clasificaría la severidad/impacto de las brechas de seguridad sufridas por su organización en el último año? 


No hemos experimentado 
brechas de seguridad en 
el último año 




Impacto bajo 



49 % 


Impacto operacional 
significativo 



9 % 


Impacto alto, con daño 
reputacional y/o 
monetario significativo 


2 % 


1 de Cddd 10 participantes sufrieron brechas de seguridad significativas, y con pérdidas que llegaron hasta 

los USD 100,000. También se observa que 1 de cada 5 organizaciones no puede determinar el impacto al 
no contar con mecanismos de registro y medición de incidentes. 


Canales para gestionar la seguridad de la información 


¿En qué áreas o en qué canales su organización se encuentra preparada para afrontar un incidente de seguridad de 
la información? 

82 % 



Canales electrónicos 

Intercambio 

Aplicaciones móviles 

Sistemas 

Redes sociales 


electrónico de datos 

operacionales 



con terceros 





Las redes sociales son el canal que las empresas han encontrado para posicionar su marca e incrementar su 

participación de mercado. Sin embargo, 4 de Cddd 5 pdrticipdntes no gestionan los riesgos de seguridad 
resultantes de su uso en la organización. 
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Observaciones de auditoría interna o externa 


Principales observaciones de auditoría, interna o externa, relacionados con seguridad de información en los últimos 
12 meses. 



36 % 

Falta de un pian 
de recuperación 
de desastres 


30 % 


Inadecuada configuración 
de pistas de auditoria 


38 % 

Fallas en el 
proceso de gestión 
de cambios a 
aplicaciones 


57 % 




2V 


Fallas en el proceso de gestión 
de accesos y asignación de 
perfiles de usuarios 


28 % 

Administración 
ineficiente de 
parámetros de 
seguridad 


28 % 

Utilización de datos 


productivos en 
ambientes de 
desarrollo 


Como producto de las diversas revisiones tanto externas como Internas realizadas en las empresas, Id gestión 

de usuarios y accesos sigue siendo el elemento más tambaleante de la gestión de los 
CISOs. 

El USO de información de ambientes productivos sin los adecuados procesos de enmascaramiento y 
protección de datos sensibles, se encuentra como una de las principales observaciones de auditoría de este año, 
evidenciando la evolución de los alcances de auditoría como resultado de las nuevas amenazas de seguridad de la 
información. 
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